derecha|thumbnail|280px|Este es un ejemplo de un intento de phishing. Haciéndose pasar por un correo electrónico oficial, trata de engañar a los clientes del banco para que den información acerca de su cuenta con un enlace a la página del phisher.
Phishing o ciberpesca es un término informático que distingue a un conjunto de técnicas que el engaño a una víctima ganándose su confianza haciéndose pasar por una persona, empresa o servicio de confianza (suplantación de identidad de tercero de confianza), para manipularla y hacer que realice acciones que no debería realizar (por ejemplo, revelar información confidencial o hacer clic en un enlace).Cómo saber cuándo un estafador se está haciendo pasar por tu banco. BBC News Mundo. 13 de febrero de 2019DESMONTANDO A LUPIN: La prevención de la estafa informática, desde y para el usuario. Adrián Carmona Caballero. Colegio Profesional de la Criminología de la Comunidad de Madrid. 30 de noviembre de 2019
Para realizar el engaño, habitualmente se hace uso de la ingeniería social explotando los instintos sociales de la gente, como es de ayudar o ser eficiente. También mediante la adulación a la víctima, explotando su intrínseca vanidad o necesidad de ser reconocido, baja autoestima, o una persona que busca trabajo. Por ejemplo, enviando correos electrónicos o mostrando publicidades a la víctima diciéndole que ha ganado un premio y que siga un enlace para recibirlo, siendo aquellas promesas falsas (un cebo). A veces también se hace uso de procedimientos informáticos que aprovechan vulnerabilidades. Habitualmente, el objetivo es robar información, pero otras veces es instalar malware, sabotear sistemas, o robar dinero a través de fraudes.Phishing Attacks:Defending Your Organisation. National Cyber Security Centre. GCHQ (servicio de inteligencia del Reino Unido). El phishing está considerada una de las técnicas de robos de contraseñas más utilizada.
A quien realiza el phishing se le llama phisher.Stutz, Michael AOL: A Cracker's Paradise? 29 de enero de 1998
Dado el creciente número de denuncias de incidentes relacionados con el phishing, se requieren métodos adicionales de protección. Se han realizado intentos con leyes que castigan la práctica y campañas para prevenir a los usuarios con la aplicación de medidas técnicas a los programas.
Origen del término
El término phishing proviene de la palabra inglesa "fishing" (pesca), haciendo alusión a utilizar un cebo y esperar a que las víctimas "muerdan el anzuelo". Los cebos utilizados pueden ser muy variados.Suplantación o robo de identidad (phishing)a¿Qué es el phishing?. Gabriela Gavrailova. mailjet.com/. 10 de diciembre de 2019
También se dice que el término phishing es la contracción de password harvesting fishing (cosecha y pesca de contraseñas), aunque esto probablemente es un acrónimo retroactivo, dado que la escritura ph es comúnmente utilizada por hackers para sustituir la f, como raíz de la antigua forma de hacking telefónico conocida como phreaking."phishing, n." OED Online, March 2006, Oxford University Press. Oxford English Dictionary Online. . 9 de agosto de 2006
La primera mención del término phishing data de enero de 1996, en el grupo de noticias de hackers alt.2600 y fue usado para denominar a quienes intentaban "pescar" cuentas de miembros de AOL."phish, v." OED Online, March 2006, Oxford University Press. Oxford English Dictionary Online. http://dictionary.oed.com/cgi/entry/30004303/ 9 de agosto de 2006 Es posible que el término ya hubiera aparecido anteriormente en la edición impresa del boletín de noticias hacker 2600 Magazine.Ollmann, Gunter. Phishing Guide: Understanding and Preventing Phishing Attacks. Technical Info. . 10 de julio de 2006.
En el phishing en AOL el atacante se hacía pasar como un empleado de AOL y enviaba un mensaje instantáneo a una víctima potencial. Para poder engañar a la víctima de modo que diera información confidencial,AOL: A Cracker's Paradise?. Michael Stutz. Wired News. 29 de enero de 1998 el mensaje podía contener textos como "verificando cuenta" o "confirmando información de factura". Una vez el usuario enviaba su contraseña, el atacante podía tener acceso a la cuenta de la víctima y utilizarla para varios propósitos criminales, incluyendo el spam.
Técnicas de phishing Los ataques de phishing se pueden clasificar según el objetivo contra el que se dirige el ataque, el fin, el medio que se utiliza o según el modo de operación. Un caso concreto puede pertenecer a varios tipos a la vez. Actualmente se han contando más de 10000 formas de phishing.EL PHISHING. Mayra Sheila Mariana Leguizamón. TRABAJO FINAL DE GRADO.GRADO EN CRIMINOLOGÍA Y SEGURIDAD. Universitat Jaume I Los tipos de ataques de phising más frecuentes son: Phishing general, phishing tradicional, Bulk Phishing o Spray and pray. Consiste en la emisión masiva de correos electrónicos a usuarios. Estos correos suplantan a entidades de confianza (ejemplo bancos) y persiguen el engaño del usuario y la consecución de información. Por ejemplo en el mensaje se incluyen enlaces a dominios maliciosos. Para camuflar estos enlaces es habitual que el texto del enlace sea la URL correcta, pero el enlace en sí apunte al sitio malicioso. Vishing. Es similar al phishing tradicional pero el engaño se produce a través de una llamada telefónica. El término deriva de la unión de dos palabras en inglés: ‘'voice'’ y ‘'phishing’'. Un ejemplo típico de uso de esta técnica es cuando un ciberdelincuente ha robado ya información confidencial a través de un ataque de phising, pero necesita la clave SMS o token digital para realizar y validar una operación. Es en ese momento el ciberdelincuente llama por teléfono al cliente identificándose como personal del banco y, con mensajes particularmente alarmistas, intenta que el cliente revele el número de su clave SMS o token digital, que son los necesarios para autorizar la transacción.'Phishing', 'vishing', 'smishing', ¿qué son y cómo protegerse de estas amenazas?. Claudia Castillo. bbva.com. 29 de noviembre de 2018 Qrishing: phishing a través de códigos QR el cual consiste en la manipulación de códigos QR y el posterior engaño a las víctimas mediante la suplantanción de la página web o aplicación a la que se accede al escanear el código el cual dirige al usuario a un enlace fraudulento utilizado con la finalidad de obtener información privada de las víctimas. Smishing. Es similar al phishing tradicional pero el engaño se produce a través mensajes de texto ya sean por SMS o mensajería instantánea (como WhatsApp). Un ejemplo típico de esta técnica es cuando el cliente recibe un mensaje de texto, donde el emisor se hace pasar por el banco, y le informan que se ha realizado una compra sospechosa con su tarjeta de crédito. A su vez, el texto solicita que se comunique con la banca por teléfono de la entidad financiera y le brinda un número falso. El cliente devuelve la llamada y es ahí cuando el ciberdelincuente, haciéndose pasar por el banco, solicita información confidencial para supuestamente cancelar la compra. En una variante de esta modalidad el mensaje también podría incluir un enlace a una ‘web’ fraudulenta para solicitar información sensible. URL Phishing. Se trata de engañar al usuario haciendo que una URL de un sitio malicioso parezca la de un sitio confiable. A ellas a veces se accede de forma inadvertida al escribir nombres de dominio mal escritos que están muy cerca del dominio legítimo, o siguiendo un enlace malicioso que parece correcto, o por engaños al usar caracteres unicode parecidos difícilmente detectables, especialmente en dispositivos móviles, con pantallas más pequeñas y generalmente una resolución de pantalla inferior. Por ejemplo caracteres latinos con un punto bajo o la letra griega ómicron, "ο".Evgeniy Gabrilovich and Alex Gontmakher. The Homograph Attack.Communications of the ACM 45(2):128. febrero del 2002 Johanson, Eric. The State of Homograph Attacks Rev1.1. 'The Shmoo Group. 11 de agosto de 2005.Cuidado con las URL que esconden puntos debajo de vocales y consonantes: son timos. Carlos González. adslzone.net. 20 de febrero de 2018 Otra forma de disfrazar enlaces es utilizar direcciones que contengan el carácter arroba: @, para posteriormente preguntar el nombre de usuario y contraseña (contrario a los estándaresBerners-Lee, Tim. Uniform Resource Locators, IETF Network Working Group, 28 de enero de 2006). Por ejemplo, el enlace http://[email protected]/ puede engañar a un observador casual y hacerlo creer que el enlace va a abrir en la página de www.google.com, cuando realmente el enlace envía al navegador a la página de members.tripod.com (y al intentar entrar con el nombre de usuario de www.google.com, si no existe tal usuario, la página abrirá normalmente). Este método ha sido erradicado desde entonces en los navegadores de MozillaFisher, Darin. Warn when HTTP URL auth information isn't necessary or when it's provided. Bugzilla. 28 de agosto de 2005 e Internet Explorer.Microsoft. A security update is available that modifies the default behavior of Internet Explorer for handling user information in HTTP and in HTTPS URLs Microsoft Knowledgebase Database. 28 de agosto de 2005 Whaling. Se diferencia de los otros tipos de intentos de phishing en que el objetivo son personas importantes como por ejemplo ejecutivos de alto rango. Las solicitudes de información contenidas en el ataque están más adaptadas a la persona concreta. Por ejemplo, la información presentada puede incluir solicitudes de citaciones, quejas de clientes, solicitudes de transferencia bancaria u otras solicitudes relacionadas con transacciones financieras concretas. La persona objetivo desprevenida puede verse atraído a revelar información confidencial del sistema u otros datos valiosos a los que solo unos pocos individuos tienen acceso. Business Email Compromise (BEC) o estafas Man-in-the-Email. Consisten en usar el correo electrónico para desplegar tácticas de ingeniería social y conseguir engañar a empleados desprevenidos. Los formas concretas más habituales de este tipo de ataques son:Business Email Compromise (BEC).trendmicro.com CEO Fraud. Consiste en hacerse pasar por un CEO u otro ejecutivo de alto rango que se comunica con un usuario final de nivel inferior para persuadirlo de realizar ciertas acciones. Para realizar este tipo de ataque pueden extraer previamente información relevante para que la solicitud parezca lo más legítima posible. Por lo tanto, el atacante puede combinar las diversas técnicas de phishing e ingeniería social. Compromiso de la cuenta. La cuenta de correo electrónico de un ejecutivo o empleado es pirateada y utilizada para solicitar pagos de facturas a proveedores que figuran en sus contactos de correo electrónico. Los pagos se envían a cuentas bancarias fraudulentas. Suplantación de identidad de los abogados. Los atacantes fingen ser un abogado o alguien de la firma de abogados supuestamente a cargo de asuntos cruciales y confidenciales. Normalmente, tales solicitudes falsas se realizan por correo electrónico o por teléfono, y durante el final del día hábil. El falso esquema de facturas (Bogus Invoice Scheme). El atacante finge ser un proveedor que solicita transferencias de fondos para pagos a una cuenta que controla el atacante. Es típico de las empresas con proveedores extranjeros. Robo de datos. Su objetivo son los empleados de nivel bajo de Recursos humanos y contabilidad y el objetivo es obtenerles información de identificación personal o declaraciones de impuestos de empleados y ejecutivos. Dichos datos pueden usarse para futuros ataques.